ナビゲーション ウィンドウで、 設定>Endpoints>Indicators ( [ルール] の下) を選択します。
ファイル ハッシュ、IP アドレス、URL/ドメイン、証明書など、管理するインジケーターの種類のタブを選択します。
インジケーターの詳細を更新し、[ 保存] を選択します。 インジケーターを一覧から削除するには、[削除] を選択 します。
IoC の一覧をインポートする
インジケーターの属性、アクション、およびその他の詳細を定義する CSV ファイルからインジケーターをアップロードできます。
インジケーターのインポート ページ (設定>>) からサンプル インジケーター CSV ファイルをダウンロードして、サポートされている列の属性を確認します。
ナビゲーション ウィンドウで、 設定>Endpoints>Indicators ( [ルール] の下) を選択します。
インジケーターをインポートするエンティティの種類のタブを選択します。
Import>ファイルを選択 を選択します。
[インポート] を選択します。 インポートするすべてのファイルに対して繰り返します。
[完了] を選択します。
注:
バッチごとにアップロードできるインジケーターは 500 個のみです。 特定のカテゴリのインジケーターをインポートするには、文字列を Pascal ケース規則で記述する必要があり、Microsoft Defender ポータルで使用可能なカテゴリ リストのみを受け入れます。
次の表は、サポートされているパラメーターを示しています。
| パラメーター | タイプ | 説明 |
|---|---|---|
| indicatorType | 列挙型 | インジケーターの種類。 使用可能な値は、 FileSha1、 FileSha256、 IpAddress、 DomainName、および Urlです。 必須 |
| 指標値 | 文字列 |
Indicator API リソース エンティティの ID。 必須 |
| アクション | 列挙型 | 組織内でインジケーターが検出された場合に実行するアクション。 使用可能な値は、 Allowed、 Audit、 BlockAndRemediate、 Warn、および Blockです。 必須 |
| タイトル | 文字列 | インジケーター アラート タイトル。 必須 |
| 説明 | 文字列 | インジケーターの説明。 必須 |
| 有効期限時刻 | DateTimeOffset | 次の形式のインジケーターの有効期限 YYYY-MM-DDTHH:MM:SS.0Z。 有効期限を過ぎており、かつ有効期限時の事象が秒（SS）値の時点で発生した場合、インジケーターは削除されます。 Optional |
| 重大度 | 列挙型 | インジケーターの重大度。 可能な値は、Informational、Low、Medium、および High です。 Optional |
| 推奨アクション | 文字列 | TI インジケーター アラート推奨アクション。 Optional |
| rbacGroups | 文字列 | インジケーターが適用される RBAC グループのコンマ区切りの一覧。 Optional |
| カテゴリ | 文字列 | アラートのカテゴリ。 たとえば、実行と資格情報のアクセスです。 Optional |
| mitretechniques | 文字列 | MITRE 手法のコード/ID (コンマ区切り)。 詳細については、「 エンタープライズ戦術」を参照してください。 Optional mitretechniques フィールドで MITRE 手法を指定する場合は、カテゴリ フィールドに値を指定することをお勧めします。 |
| アラートを生成 | 文字列 | アラートを生成する必要があるかどうか。 使用可能な値は、 True または Falseです。 Optional |
注:
IP アドレスのクラスレス Inter-Domain ルーティング (CIDR) 表記はサポートされていません。 詳細については、「Microsoft Defender for Endpoint のアラート カテゴリが MITRE ATT&CK! に準拠するようになりました」を参照してください。
ネットワーク インジケーターはアクションの種類 ( BlockAndRemediate) をサポートしていません。 ネットワーク インジケーターが BlockAndRemediate に設定されている場合、インポートされません。
このビデオでは、Microsoft Defender for Endpointが侵害のインジケーター (IoC) を追加および管理する複数の方法を提供する方法について説明します。